Il caso riporta al centro dell’attenzione la verifica dell’identità di chi richiede l’accesso ai dati, l’adeguatezza delle misure organizzative e il ruolo di DPO, cybersecurity e controlli interni.
Il data breach Revolut richiama l’attenzione su un profilo particolarmente delicato della sicurezza dei dati: l’autenticità tecnica del canale attraverso il quale arriva una richiesta di informazioni non garantisce necessariamente l’identità e la legittimazione del soggetto che la formula.
Revolut ha confermato di avere comunicato dati relativi ad alcuni clienti in seguito a richieste fraudolente che sembravano provenire da un indirizzo appartenente al dominio legittimo di un’autorità pubblica.
La società ha precisato che i propri sistemi informatici e i fondi dei clienti non sono stati compromessi e che l’incidente ha riguardato un numero limitato di clienti. Secondo le ricostruzioni riportate dal Financial Times e riprese da ANSA, sarebbero state interessate informazioni riferibili ad almeno 680 persone.
La vicenda assume quindi particolare rilevanza perché non riguarda soltanto la protezione delle infrastrutture informatiche, ma pone un problema più ampio di Data Protection, verifica delle richieste di accesso ai dati, sicurezza dei processi e accountability.
Il caso Revolut e le false richieste di informazioni
Secondo quanto comunicato da Revolut, un soggetto non autorizzato avrebbe utilizzato un indirizzo appartenente al dominio e-mail legittimo di un’autorità governativa per inoltrare richieste fraudolente di informazioni relative alla clientela.
È proprio questo elemento a rendere la vicenda particolarmente significativa.
Non si sarebbe infatti trattato, secondo la ricostruzione fornita dalla società, di una violazione diretta dell’infrastruttura informatica di Revolut. Il meccanismo avrebbe invece sfruttato l’affidabilità attribuita a comunicazioni apparentemente provenienti da un soggetto istituzionale.
Sul versante italiano sono in corso accertamenti per ricostruire con precisione le modalità attraverso le quali il canale istituzionale sia stato utilizzato e individuare eventuali ulteriori soggetti coinvolti.
Per questa ragione è opportuno distinguere tra quanto già confermato da Revolut e le modalità tecniche dell’accesso al sistema istituzionale italiano, che restano oggetto di indagine.
Un canale autentico non rende automaticamente autentica la richiesta
Il profilo probabilmente più interessante del data breach Revolut riguarda proprio il rapporto tra autenticità tecnica e affidabilità sostanziale della comunicazione.
Nella gestione delle richieste provenienti da autorità pubbliche o altri soggetti istituzionali, le organizzazioni verificano normalmente alcuni elementi quali il dominio di provenienza, l’indirizzo e-mail, la PEC, le firme o altri sistemi di autenticazione.
Si tratta di presidi fondamentali, che tuttavia possono non essere sufficienti quando le credenziali o l’infrastruttura appartenenti a un soggetto legittimo vengono utilizzate da una persona non autorizzata.
In queste circostanze, il canale può apparire autentico senza che lo sia necessariamente il soggetto che sta materialmente formulando la richiesta.
La verifica dovrebbe pertanto estendersi, soprattutto per le richieste maggiormente sensibili, anche all’identità effettiva del richiedente, alla sua legittimazione, alla base giuridica della richiesta e alla coerenza dei dati richiesti rispetto alla finalità dichiarata.
Il caso evidenzia quindi come la sicurezza non possa essere affidata esclusivamente a controlli tecnologici, ma debba comprendere anche adeguati presidi organizzativi e procedurali.
Data breach Revolut e misure di sicurezza previste dal GDPR
La vicenda richiama direttamente il principio contenuto nell’articolo 32 del GDPR, secondo cui titolare e responsabile del trattamento devono adottare misure tecniche e organizzative adeguate al rischio.
La sicurezza del trattamento non coincide infatti esclusivamente con la protezione di server, reti e sistemi da attacchi esterni.
Deve riguardare anche i processi attraverso i quali i dati personali vengono consultati, comunicati o trasferiti a soggetti terzi.
Alla luce del principio di adeguatezza previsto dal GDPR, procedure quali la verifica indipendente di determinate richieste, i meccanismi di escalation interna, la segregazione delle funzioni e la tracciabilità delle decisioni possono rappresentare importanti strumenti di mitigazione del rischio.
Non si tratta di misure nominativamente imposte dall’articolo 32, ma di possibili modalità attraverso le quali un’organizzazione può declinare concretamente l’obbligo di adottare misure tecniche e organizzative appropriate rispetto ai rischi effettivamente individuati.
Data breach, notifica e comunicazione agli interessati
La divulgazione o l’accesso non autorizzato a dati personali può integrare una violazione dei dati personali – personal data breach ai sensi del GDPR.
L’articolo 33 disciplina, quando ne ricorrono i presupposti, la notifica della violazione all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne viene a conoscenza.
La notifica non è richiesta qualora sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche.
Quando invece la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà degli interessati, l’articolo 34 disciplina anche la comunicazione della violazione alle persone coinvolte.
Revolut ha dichiarato di avere adottato misure dopo l’individuazione dell’incidente, collaborando con le autorità competenti e gestendo le conseguenze della violazione.
L’intervento del Garante Privacy italiano
La vicenda ha prodotto conseguenze che vanno oltre il singolo caso Revolut.
Secondo quanto riferito da ANSA il 16 settembre 2026, il Garante per la protezione dei dati personali ha avviato una verifica sulle eventuali vulnerabilità nella sicurezza degli accessi delle banche italiane, anche allo scopo di accertare l’esistenza di altri tentativi analoghi.
Dagli uffici dell’Autorità sarebbe inoltre partita una comunicazione alla rete dei Data Protection Officer degli istituti bancari, con l’invito a effettuare tempestivamente verifiche interne sui propri sistemi e a contattare l’Autorità qualora vengano individuate vulnerabilità.
Sempre secondo ANSA, il Garante si è attivato anche nei confronti dell’autorità di protezione dei dati lituana, considerata la sede legale principale europea di Revolut, promuovendo uno scambio di informazioni.
Sono state inoltre avviate interlocuzioni con il Ministero dell’Interno, anche per accertare se possano essere coinvolte altre banche o intermediari finanziari e determinare l’effettiva estensione dell’incidente.
Il caso assume così una valenza più generale: non riguarda soltanto il singolo data breach, ma l’efficacia delle procedure attraverso le quali gli intermediari verificano e gestiscono le richieste istituzionali di accesso alle informazioni.
La richiesta di riscatto e gli ultimi sviluppi
Nelle ore successive è emerso un ulteriore sviluppo.
Un gruppo che rivendica la responsabilità dell’operazione avrebbe chiesto a Revolut un riscatto di 3 milioni di dollari, minacciando la diffusione o la vendita dei dati sottratti.
È tuttavia necessario distinguere la rivendicazione del gruppo dalla posizione ufficiale della società.
Revolut ha infatti dichiarato a Reuters di non avere ricevuto direttamente alcuna richiesta di riscatto né alcun contatto da parte dei soggetti che affermano di essere responsabili della violazione.
Anche le ulteriori affermazioni formulate dagli autori della rivendicazione sull’estensione dei dati di cui sarebbero entrati in possesso devono quindi essere considerate, allo stato, affermazioni del gruppo e non fatti indipendentemente accertati.
Quali verifiche può suggerire il caso Revolut alle organizzazioni
Al di là delle responsabilità relative alla specifica vicenda, ancora oggetto di accertamento, il caso può rappresentare un utile banco di prova per valutare l’effettiva solidità dei processi interni di gestione delle richieste di informazioni.
Un primo profilo riguarda la verifica delle richieste provenienti da autorità o soggetti istituzionali. La verifica del dominio o dell’indirizzo utilizzato potrebbe non essere sufficiente quando sono coinvolti dati particolarmente delicati.
Può quindi essere opportuno prevedere, in relazione al livello di rischio, ulteriori controlli sull’identità del richiedente, sull’effettiva esistenza della richiesta, sulla relativa base giuridica e sull’estensione delle informazioni richieste.
Un secondo elemento riguarda i meccanismi di escalation interna. Richieste anomale per quantità di informazioni, tipologia dei dati, urgenza o modalità di trasmissione possono rendere opportuno un ulteriore livello di autorizzazione.
Particolarmente rilevante è poi la tracciabilità del processo: l’organizzazione dovrebbe essere in grado di ricostruire la richiesta ricevuta, le verifiche effettuate, le decisioni assunte e i dati eventualmente comunicati.
Infine assume un ruolo centrale la formazione del personale. Anche sistemi tecnologici avanzati possono infatti non essere sufficienti se chi deve valutare concretamente una richiesta non dispone delle conoscenze, delle procedure e dei meccanismi di escalation necessari per riconoscere situazioni anomale.
Dal data breach alla governance del rischio
Il caso Revolut mostra quanto sia ormai difficile separare nettamente Data Protection, cybersecurity, incident management e controlli interni.
La crescente sofisticazione delle minacce richiede un coordinamento sempre più stretto tra DPO, CISO, Legal, Compliance, Risk Management e funzioni ICT.
La sicurezza non coincide soltanto con la capacità di impedire a un soggetto esterno di violare un sistema informatico.
Comprende anche la capacità dell’organizzazione di verificare correttamente chi richiede l’accesso alle informazioni, con quale legittimazione, per quale finalità e quali dati possano essere effettivamente comunicati.
È questa probabilmente la principale indicazione che emerge dalla vicenda: l’autenticità del canale non può essere automaticamente equiparata all’autenticità e alla legittimità della richiesta che attraverso quel canale viene trasmessa.
Gli approfondimenti Paradigma sulla Data Protection e la cybersecurity
I temi della sicurezza dei trattamenti, gestione dei data breach, ruolo del DPO, cybersecurity e governance dei rischi digitali saranno al centro di diversi prossimi appuntamenti formativi organizzati da Paradigma.
Il corso “Dal Data Protection Officer al Data Compliance Officer”, in programma nelle giornate del 1° e 8 ottobre 2026, approfondirà ruolo e attività del DPO, rapporti con l’Autorità di controllo, gestione della compliance e nuove sfide derivanti anche dall’implementazione dei sistemi di Intelligenza Artificiale.
Il 13 ottobre 2026, il workshop “Elementi base di cybersecurity per non esperti” sarà dedicato ai concetti essenziali di sicurezza informatica, al rischio cyber, ai data breach, alla continuità operativa e al rapporto tra cybersecurity, GDPR e protezione dei dati personali.
Per gli operatori finanziari, il 14 ottobre 2026, l’incontro “Gli adeguamenti alle nuove minacce cyber di origine AI per i soggetti DORA” approfondirà le nuove minacce legate ai modelli avanzati di AI, la governance del rischio ICT e gli interventi richiesti agli operatori soggetti a DORA.
Scopri i prossimi convegni Paradigma dedicati alla Data Protection, alla cybersecurity e alla gestione dei rischi digitali.
